Os casos de ciberataques têm sido amplamente noticiados pela imprensa, como o ataque hacker que quase levou hospitais da Romênia ao colapso em fevereiro deste ano. Outro exemplo alarmante ocorreu no Brasil em abril, quando o sistema de clínicas de cirurgia plástica no Paraná e no Rio Grande do Sul foi invadido, vazando fotos e dados pessoais de pacientes. Essas situações destacam a importância de saber como agir, especialmente no setor médico, onde a proteção da privacidade pode afetar diretamente a saúde das pessoas.

A Autoridade Nacional de Proteção de Dados (ANPD) recomenda que os agentes de tratamento de dados pessoais (controladores e operadores) adotem medidas para prevenir danos aos titulares em virtude de suas atividades. A Lei Geral de Proteção de Dados ( #LGPD ) impõe aos controladores, em seu artigo 48, o dever de comunicar aos titulares e à ANPD a ocorrência de incidentes que possam causar riscos ou danos relevantes. Essa comunicação deve ser feita através do processo de Comunicação de Incidente de Segurança (CIS) o mais breve possível, preferencialmente em até dois dias úteis após a ciência do fato, para preservar os direitos dos titulares e minimizar os prejuízos.

Um incidente de segurança com dados pessoais é um evento adverso confirmado que compromete a confidencialidade, integridade ou disponibilidade de dados pessoais. Pode resultar de ações voluntárias ou acidentais, levando à divulgação, alteração, perda ou acesso não autorizado a estas informações. Esses incidentes não se limitam às violações de confidencialidade; abrangem também eventos de perda ou indisponibilidade. Exemplos incluem o sequestro de dados (ransomware), acesso não autorizado a sistemas de informação e a publicação não intencional de informações dos titulares. É fundamental que as instituições médicas compreendam esses riscos e estejam preparadas para agir rapidamente, garantindo a segurança e a privacidade dos dados dos pacientes.